Sicherheit, Datenschutz und Zuverlässigkeit

App und API werden nur über HTTPS (TLS) ausgeliefert. Browser werden angewiesen, immer HTTPS zu verwenden (HSTS).

Google Cloud verschlüsselt unsere Datenbank und den Dateispeicher im Ruhezustand (AES-256). Zugriffstoken für verbundene Tools wie Asana und ClickUp verschlüsseln wir zusätzlich selbst (AES-256-GCM).

Jede Anfrage wird auf unseren Servern gegen die Organisation der angemeldeten Person geprüft. Datensätze einer anderen Organisation verhalten sich so, als gäbe es sie nicht. Die Sicherheitsregeln der Datenbank setzen dieselbe Trennung um, automatisierte Tests prüfen sie.

Die Rollen Administrator, Bearbeiter und Leser werden auf unseren Servern durchgesetzt, nicht nur in der Oberfläche ausgeblendet.

Jede Person kann die Zwei-Schritt-Verifizierung mit einer Authenticator-App einschalten. Administratoren können sie für den ganzen Arbeitsbereich verlangen, mit einer Übergangsfrist.

Administratoren können eine automatische Abmeldung bei Inaktivität und eine maximale Sitzungsdauer festlegen. Deaktivierte oder entfernte Personen verlieren den API-Zugriff innerhalb von etwa einer Minute.

Noch nicht verfügbar. Heute melden sich Personen mit E-Mail und Passwort, Google oder Microsoft an, optional mit Zwei-Schritt-Verifizierung.

Noch nicht verfügbar. Administratoren laden Personen in der App ein und entfernen sie dort.

Änderungen, Anmeldungen und Sicherheitseinstellungen werden in einem Aktivitätsprotokoll erfasst, das Nutzer nicht bearbeiten können. Es wird standardmäßig 12 Monate aufbewahrt, kann exportiert werden und hat eine Manipulationsprüfung. Enterprise bietet zusätzlich längere Aufbewahrung, Export der gesamten Historie und Weiterleitung an Ihre Sicherheitswerkzeuge (SIEM).

Die Datenbank wird täglich in einen separaten Speicher-Bucket exportiert. Ein schriftliches Wiederherstellungsverfahren liegt vor.

Skript und Checkliste für den Wiederherstellungstest sind fertig. Das Datum des ersten abgeschlossenen Tests veröffentlichen wir hier.

Wir arbeiten nach einem schriftlichen Notfallplan mit Schweregraden und Rollen. Betrifft ein Vorfall personenbezogene Daten, für die Sie verantwortlich sind, informieren wir Sie unverzüglich, damit Sie Ihre eigenen gesetzlichen Fristen einhalten können.

Melden Sie Sicherheitsprobleme vertraulich an security@expiryedge.com. Wir bestätigen Meldungen innerhalb von 2 Werktagen und gehen nicht gegen Forschung in gutem Glauben vor.

Jede Codeänderung durchläuft automatisierte Tests und eine Suche nach versehentlich veröffentlichten Zugangsdaten. Updates von Abhängigkeiten werden automatisch vorgeschlagen.

Hochgeladene Dateien werden nach Typ, Dateiname, Größe und Inhalt geprüft. Programme, Skripte und Webseiten werden abgelehnt. Ein Virenscan für Uploads ist geplant.

Eine Einstellung schaltet Analyse, Sitzungsaufzeichnung und Marketing-Hinweise in der App für den ganzen Arbeitsbereich ab. Der KI-Assistent in der App ist standardmäßig aus. Im Enterprise-Tarif standardmäßig an.

Administratoren legen fest, wie lange Datensätze und Aktivitäten aufbewahrt werden, und können Legal Holds setzen, die Löschungen stoppen. (Der Export aller Daten der Organisation steht Administratoren in jedem Tarif zur Verfügung.)